ISMS-software is software waarmee je het managementsysteem voor informatiebeveiliging uit ISO 27001 inricht en bijhoudt: beleid, risico's, de verklaring van toepasselijkheid, maatregelen, audits en bewijs op één plek. De software is niet het ISMS zelf, maar bewaakt de samenhang. Kijk bij de keuze naar dekking van de hele norm, bewijs per normeis en ondersteuning van meerdere normen.
Wie voor het eerst met ISO 27001 aan de slag gaat, typt vroeg of laat "ISMS software" in Google. En dan krijg je een muur van leveranciers die allemaal beloven dat je binnen een paar weken gecertificeerd bent. Wij zijn er zelf ook een, dus neem dit artikel gerust met een korrel zout. Toch proberen we het zo eerlijk mogelijk te houden: wat moet ISMS-software kunnen om je echt te helpen bij ISO 27001, en waar let je op als je gaat vergelijken?
ISMS-software is software waarmee je het managementsysteem voor informatiebeveiliging uit ISO 27001 inricht en bijhoudt. ISMS staat voor Information Security Management System. Je legt er je beleid, risico's, maatregelen, audits, incidenten en het bewijs dat je doet wat je zegt in vast.
Even een belangrijke kanttekening. De software is niet je ISMS. Je ISMS is de manier waarop je organisatie informatiebeveiliging borgt: met mensen, afspraken en een cyclus van plannen, doen, controleren en bijsturen. Wat dat precies inhoudt, lees je in wat is een ISMS? De software houdt het geheel bij elkaar. Dat is minder spectaculair dan het klinkt, maar wel precies waar het in de praktijk misgaat.
De beste manier om ISMS-software te beoordelen, is naast de norm leggen. ISO 27001 bestaat uit de hoofdstukken 4 tot en met 10 met eisen aan het managementsysteem, plus Bijlage A met 93 beheersmaatregelen. Per onderdeel zie je hieronder wat de software voor je zou moeten doen.
| Normeis ISO 27001:2022 | Wat de software moet ondersteunen |
|---|---|
| 4. Context en toepassingsgebied | Interne en externe onderwerpen, belanghebbenden met hun eisen, en de scope van je ISMS vastleggen. |
| 5. Leiderschap | Informatiebeveiligingsbeleid met versiebeheer, rollen en verantwoordelijkheden. |
| 6.1.2 en 6.1.3 Risico's | Risicobeoordeling en risicobehandeling, met de verklaring van toepasselijkheid die uit dezelfde gegevens wordt opgebouwd. |
| 6.2 Doelstellingen | Meetbare doelstellingen voor informatiebeveiliging, met eigenaar en voortgang. |
| 7.2 en 7.3 Competentie en bewustzijn | Wie welke rol heeft, welke kennis daarbij hoort en wie de awareness-training heeft gevolgd. |
| 7.5 Gedocumenteerde informatie | Documentbeheer met versies, goedkeuring en een herzieningsdatum. |
| 8. Uitvoering en Bijlage A | Maatregelen met eigenaar, status en bewijs, inclusief leveranciers, bedrijfsmiddelen en incidenten. |
| 9.1 Monitoring en meten | Metingen en KPI's die je periodiek bijwerkt en terugziet. |
| 9.2 Interne audit | Een auditprogramma, auditplanning, bevindingen en opvolging. |
| 9.3 Directiebeoordeling | Een directiebeoordeling met de input die de norm voorschrijft, liefst automatisch verzameld. |
| 10. Verbetering | Afwijkingen, corrigerende maatregelen en verbeteracties die je volgt tot ze afgerond zijn. |
Een pakket dat alleen risicoanalyse doet, of alleen documentbeheer, dekt dus maar een paar rijen. Dat kan prima zijn als je de rest al goed op orde hebt. Maar weet dan wel wat je koopt.
Eerlijk is eerlijk: veel organisaties halen hun eerste ISO 27001-certificaat met Word, Excel en een SharePoint-site. De norm zegt niets over het gereedschap en de auditor ook niet. Het gaat meestal pas wringen in jaar twee of drie. De risicoanalyse verwijst naar een maatregel die inmiddels anders heet, het beleid is drie keer herzien maar niemand weet welke versie de auditor vorige keer zag, en de verbeteracties staan in iemands mailbox.
Daar zit de echte waarde van ISMS-software: de verbanden. Een incident leidt je naar het risico, het risico naar de maatregel, de maatregel naar het bewijs. In losse bestanden houd je die lijnen alleen met veel discipline vast.
Bij de risicoanalyse zelf gelden eigen aandachtspunten, die we in software voor ISO 27001-risicoanalyse uitgebreid bespreken. Voor ISMS-software als geheel kijk je vooral hiernaar:
Tip voor de demo: sla de standaardrondleiding over en laat de leverancier één concreet risico van jouw organisatie doorlopen. Van risico naar maatregel, naar verklaring van toepasselijkheid, naar audit. Dan zie je in tien minuten of de samenhang er echt is.
Normity is ontstaan uit precies dit probleem. In ons managementsysteem leg je context, beleid, risico's, de verklaring van toepasselijkheid, maatregelen, documenten, interne audits, incidenten, leveranciers en competenties vast, en die onderdelen verwijzen naar elkaar. Naast ISO 27001 werk je in dezelfde omgeving met onder meer NEN 7510, de BIO en NIS2. We rekenen één vast bedrag, ongeacht het aantal gebruikers. En ja, we zijn zelf ook ISO 27001-gecertificeerd.
Wat je er precies mee kunt, zie je op onze pagina over ISMS software. Kortom: de langste featurelijst zegt weinig. Kies software die past bij hoe jouw organisatie werkt. En mochten we je nieuwsgierig hebben gemaakt, vraag dan een demo aan. Neem gerust dat ene risico mee.
De vragen die we het vaakst krijgen over ISMS-software voor ISO 27001, met korte en feitelijke antwoorden.
ISMS-software is software waarmee je het managementsysteem voor informatiebeveiliging (Information Security Management System) uit ISO 27001 inricht en bijhoudt. Je legt er beleid, risico's, de verklaring van toepasselijkheid, maatregelen, interne audits, incidenten en het bijbehorende bewijs in vast, zodat alles naar elkaar verwijst.
Nee. ISO 27001 stelt geen eisen aan het gereedschap. Een ISMS in Word, Excel en een gedeelde map kan prima gecertificeerd worden. Software wordt interessant zodra de samenhang tussen risico's, maatregelen, audits en bewijs lastig bij te houden is, meestal na de eerste certificatiecyclus of bij meerdere normen tegelijk.
Nee. Een ISMS is de systematische manier waarop je organisatie informatiebeveiliging borgt, met beleid, processen, mensen en continue verbetering. De software ondersteunt dat. Een auditor beoordeelt je organisatie en hoe je werkt, niet het pakket dat je gebruikt.
Dat loopt sterk uiteen. Veel leveranciers rekenen per gebruiker of per module, waardoor de prijs stijgt naarmate je meer collega's laat meedoen of meer normen toevoegt. Vraag daarom altijd naar de totale kosten bij het aantal gebruikers en normen dat je over drie jaar verwacht.